Sécurité offensive
Gouvernance & conformité
Protection des données
En mai 2022, la Commission européenne proposait de créer un espace européen des données de santé. Le projet est devenu un règlement : le règlement (UE) 2025/327, publié au Journal officiel le 5 mars 2025 et entré en vigueur le 26 mars suivant. Il s’applique par étapes jusqu’en 2031, et il concerne aussi bien les établissements de santé que les éditeurs de logiciels médicaux et les organismes qui détiennent des données de santé.
Chez Digitemis, nous accompagnons des acteurs de santé dans leur certification HDS. Cet article fait le point sur ce que le règlement organise, sur ce qu’il exige des systèmes d’information et sur son calendrier.
Vous hébergez des données de santé ? Voir notre accompagnement à la certification HDS.
Deux usages des données de santé
Le règlement distingue deux usages, qui n’obéissent pas aux mêmes règles. L’utilisation primaire désigne l’usage des données pour soigner la personne : un médecin consulte le dossier d’un patient, y compris dans un autre État membre. L’utilisation secondaire désigne la réutilisation de ces données à d’autres fins, comme la recherche, l’innovation, l’élaboration des politiques publiques ou les activités réglementaires.
Le texte ne part pas de rien. La Commission le présente comme une couche sectorielle posée sur les cadres existants : le RGPD, le règlement sur la gouvernance des données, le règlement sur les données et la directive NIS. Les principes de protection des données restent ceux que les responsables de traitement connaissent ; le règlement ajoute des règles propres à la santé.
L’utilisation primaire : le patient et ses données
Le règlement donne aux personnes un accès à leurs données de santé électroniques et la possibilité de les partager avec les professionnels de leur choix, y compris d’un pays à l’autre. L’échange transfrontière passe par l’infrastructure MyHealth@EU. Les États membres peuvent prévoir un droit d’opposition à cet échange.
Six catégories de données sont déclarées prioritaires :
- les résumés des dossiers de patients ;
- les prescriptions électroniques ;
- les dispensations électroniques ;
- les examens d’imagerie médicale et leurs comptes rendus ;
- les résultats d’examens médicaux, dont les résultats de laboratoire ;
- les rapports de sortie d’hôpital.
Les trois premières sont concernées à partir du 26 mars 2029, les trois dernières à partir du 26 mars 2031. Les États membres peuvent ajouter d’autres catégories dans leur droit national.
L’utilisation secondaire : une réutilisation encadrée
Les détenteurs de données de santé devront mettre à disposition une liste minimale de catégories, parmi lesquelles les données issues des dossiers médicaux électroniques, les données administratives de remboursement, les données génétiques et génomiques, les données des registres de santé publique, celles des essais cliniques ou encore les données générées par les dispositifs médicaux et les applications de bien-être. L’accès, lui, n’est pas libre.
Il passe par des organismes responsables de l’accès aux données de santé, désignés dans chaque État membre, qui délivrent une autorisation de traitement pour des finalités énumérées par le règlement. Les demandes transfrontières transitent par l’infrastructure HealthData@EU. Toute personne peut par ailleurs refuser, à tout moment et sans motif, que ses données soient traitées à des fins d’utilisation secondaire, et ce refus est réversible.
L’environnement de traitement sécurisé
C’est la disposition qui parle le plus directement aux équipes de sécurité. Les données ne sont pas transmises aux utilisateurs : elles sont consultées dans un environnement de traitement sécurisé, soumis à des exigences techniques et organisationnelles. Le règlement en fixe plusieurs, et chacune correspond à un contrôle qu’un audit sait vérifier.
- un accès restreint aux seules personnes nommées dans l’autorisation de traitement ;
- des mesures de pointe contre la lecture, la copie, la modification ou la suppression non autorisées ;
- un nombre limité de personnes identifiées habilitées à introduire, modifier ou supprimer des données ;
- des identifiants individuels et uniques, limités aux données couvertes par l’autorisation ;
- des registres d’accès et d’activité identifiables.
Les systèmes de dossier médical électronique
Le règlement encadre aussi les logiciels. Un système de dossier médical électronique (DME) devra intégrer deux composants logiciels harmonisés : un composant d’interopérabilité européen et un composant de journalisation européen. Il ne pourra être mis sur le marché ou mis en service que s’il respecte ces exigences.
La notion de mise en service est large. Un système développé et utilisé en interne par un établissement de santé établi dans l’Union est considéré comme mis en service, tout comme un système proposé en tant que service. Les éditeurs et les établissements qui développent leurs propres outils sont donc concernés, et pas seulement les fournisseurs du marché.
Le calendrier d’application
L’essentiel s’applique entre 2027 et 2031, selon les catégories de données et les chapitres du texte.
- 26 mars 2025 : entrée en vigueur ;
- 26 mars 2027 : application générale du règlement, et premières dispositions sur l’utilisation secondaire ;
- 26 mars 2029 : résumés des dossiers de patients, prescriptions et dispensations électroniques, systèmes de DME qui les traitent ; application du chapitre sur l’utilisation secondaire ;
- 26 mars 2031 : imagerie médicale, résultats d’examens, rapports de sortie d’hôpital ; exigences applicables aux systèmes de DME développés en interne par les établissements ou proposés en tant que service ; dernières catégories ouvertes à l’utilisation secondaire, dont les données génétiques ;
- 2035 : ouverture de HealthData@EU aux pays tiers et aux organisations internationales.
Le lien avec la certification HDS
Le règlement ne crée pas de certification d’hébergement. En France, l’hébergement de données de santé pour le compte d’un tiers reste soumis à la certification HDS, et les exigences du règlement viennent s’ajouter à celles que les acteurs de santé appliquent déjà.
Pour un hébergeur, un éditeur de DME ou un établissement, l’enjeu est d’anticiper plutôt que de subir le calendrier : vérifier que les systèmes savent journaliser et échanger les données dans les formats attendus, et que les environnements qui exposent des données à des tiers répondent aux mesures de sécurité listées par le texte. Notre accompagnement à la certification HDS part de ces mêmes contrôles.
Source :
– Règlement (UE) 2025/327 du Parlement européen et du Conseil du 11 février 2025 relatif à l’espace européen des données de santé : texte intégral sur EUR-Lex